Идентификация, аутентификация и авторизация

Что такое идентификация?


Предположим, что есть определенная система или база данных, где содержится ряд из параметров (идентификаторов), например:

  • ID пользователя;
  • ФИО (фамилия, имя и отчество);
  • номер телефона;
  • IMEI-устройства;
  • адрес электронной почты;
  • логин (никнейм);
  • реквизиты банковской карты;
  • номер автомобиля;
  • серийный номер (штрих-код);
  • трек-номер;
  • смарт-карта;
  • адрес веб-сайта;
  • и т. д.

Каждый раз, когда что-либо покупаете в Интернете, где-либо регистрируетесь, Вы получаете идентификатор — определенный параметр позволяющий взаимодействовать с системой. Как правило, он является уникальным — не пересекается с другими информационными системами, участниками и пользователями. Таким образом, при необходимости получить доступ к системе или узнать какие-либо сведения, потребуется предоставить один или несколько идентификаторов. Исходя из этого, можно сказать, что идентификации — процесс позволяющий однозначно определить (распознать) субъект или объект, по его идентификатору, в той или иной системе.

Для большего понимания давайте рассмотрим на примере простой ситуации. Вы находитесь дома, занимаетесь своими делами. В один момент Вы слышите звонок в дверь и направляетесь открывать. Подойдя к двери смотрите в глазок, но никого не видите, спрашиваете: “Кто там?” и слышите в ответ: “Это я, ИМЯ человека!”. Имя человека по ту стороны двери, в данной ситуации, является идентификатором. Правильный или неправильный ответ на вопрос — процесс идентификации.

Рассмотрим на примере другой ситуации. Вы совершаете звонок в банк с целью получить какую-либо информацию по Вашей банковской карте. Сотрудник, отвечающий на Ваш звонок, прежде чем предоставить информацию, обязан Вас идентифицировать. Помимо номера телефона, он может запросить у Вас другой идентификатор, например, номер банковской карты или ФИО. Ваш ответ, в данном случае — идентификация.

Что такое аутентификация?


Для того чтобы предотвратить несанкционированный доступ к системе и данным, одной лишь идентификации недостаточно, поэтому применяют аутентификацию, а в последнее время, все более актуальным становится вопрос — двухфакторной аутентификации. Использование той или иной характеристики в системе зависит от требуемой надёжности, защищённости и стоимости внедрения.

Понятие аутентификации подразумевает проверку подлинности идентификатора или человека (объекта или субъекта). Для этого выделяют три основных фактора аутентификации:

  • знания (то, что известно только нам) – пароль, ПИН-код, графический ключ и т. д.;
  • владения (то, что имеем только мы) – мобильное устройство, смарт-карта, ключ и т. п.;
  • свойства (то, что является нашей неотъемлемой частью) – биометрические параметры (отпечатки пальцев и ладони, голос, сетчатка глаза и т. д.).

Для общего понимания, рассмотрим на предыдущих примерах. В первом случае, когда к Вам приходят незваные гости и на вопрос “Кто там?” в ответ слышите только имя — это будет идентификация. Порой ее недостаточно, поэтому если спросить какую-либо информацию (фактор аутентификации), которую знает только данный человек, например: “Какое у Вас имя? Сколько лет? На какой ягодице у Вас родинка? и т.д.”, то ответ данного человека — аутентификация.

В случае общения с сотрудником в банке, если информация или требуемые действия будут выходить за рамки идентификации, то сотрудник, для подтверждения подлинности, попросит уточнить фактор аутентификации, например, кодовое слово или последние 3 операции по карте (с точным перечислением содержимого и стоимости). Ваш ответ на его запрос — процесс аутентификации.

Что такое авторизация?


Предоставление доступа к той или иной системе, присутствие в ней и выполнения определенных действий — авторизация. Понятие подразумевает, что человек прошедший авторизацию получает полное право выполнять действия в рамках его привилегий и полномочий, для этого в информационной системе могут применять три основные категории:

  • избирательное управление доступом — доступ к информации и выполнению тех или иных действий предоставлен определённому пользователю или группе пользователей;
  • мандатное управление — предоставление и ограничение доступа к информации по степени ее секретности. Действия пользователей регламентируется уровнями доступа или же должностью пользователей;
  • доступ по ролям — гибкая форма разграничения доступа, сочетающая две предыдущие, которая варьируется в зависимости от ситуации, в конкретный период времени.

Если рассмотреть на приведенных примерах, то в первом случае, если человек пройдет идентификацию и аутентификацию, и Вы откроете ему дверь для доступа в квартиру — это будет считаться авторизацией.

Вторая ситуация, в момент, когда банковский сотрудник получит необходимые ему сведения, а затем предоставит или сделает желаемое для Вас (например, перевод денежных средств) – этот процесс будет называться авторизацией.

Связь между идентификацией, аутентификацией и авторизацией


Все три выше перечисленных процесса взаимодействуют между собой и не существуют друг без друга. В первую формируется идентификатор, затем происходит подтверждения подлинности и соответствия, а в последствие — Вы пользуетесь всеми возможностями и преимуществами системы, в рамках своих полномочий.

В Интернете на каком-либо сайте это будет выглядеть подобным образом:

  1. идентификация — проходите регистрацию;
  2. аутентификация — используете логин и пароль;
  3. авторизация — пользуетесь предоставленными ресурсами и возможностями.

Ссылки:

Механизмы аутентификации в пользовательских интерфейсах
Идентификация, Аутентификация, Авторизация. В чем же разница?